Wat zijn de gevolgen als wij AI inzetten zonder DPIA terwijl die verplicht was?

Het niet uitvoeren van een verplichte DPIA kan leiden tot een overtreding van de verplichtingen uit AVG-artikel 35. Toezichthouders kunnen boetes opleggen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast het boeterisico is de afwezigheid van een DPIA een van de eerste dingen die toezichthouders controleren bij een onderzoek naar een AI-gerelateerd dataincident. Een goed uitgevoerde DPIA ondersteunt de verantwoordingsplicht van de organisatie en laat zien dat risico's vooraf zijn geïdentificeerd en beoordeeld.

Hoelang duurt een DPIA?

De doorlooptijd varieert sterk. Voor een enkele AI-tool kan een gerichte DPIA relatief snel worden uitgevoerd wanneer de gegevensstromen, verwerkingsactiviteiten en leveranciersinformatie al goed zijn gedocumenteerd.

Wat is het verschil tussen een DPIA en een conformiteitsbeoordeling onder de AI-verordening?

Een DPIA is een AVG-verplichting gericht op gegevensbeschermingsrisico's voor personen. Een conformiteitsbeoordeling onder de AI-verordening geldt voor hoog-risico AI-systemen onder bijlage III en bestrijkt nauwkeurigheid, robuustheid, transparantie en vereisten voor menselijk toezicht. De twee overlappen maar dienen verschillende rechtskaders en moeten afzonderlijk worden voltooid. Voor systemen die beide vereisen, is parallel uitvoeren aanzienlijk efficiënter.

Hoe helpt Cyvra organisaties bij het uitvoeren van een DPIA voor AI-tools?

Cyvra voert een gestructureerd DPIA-proces uit dat begint met een verwerkingsinventarisatie voor de AI-tool, de negen-criteria-toets van de EDPB toepast en een gedocumenteerde risicobeoordeling oplevert met mitigaties voor elk geïdentificeerd risico. Wij werken samen met uw FG waar aanwezig, of adviseren over externe FG-ondersteuning waar dat nodig is. Het resultaat is een DPIA die voldoet aan de verwachtingen van de toezichthouder en de verantwoordingsdocumentatie ondersteunt die uw organisatie nodig heeft onder de AVG.

Wanneer AI-verwerking een DPIA Vereist

Q: Is een DPIA verplicht voor elke AI-tool?

Nee, maar de drempel ligt lager dan de meeste organisaties verwachten. Een DPIA is verplicht wanneer de verwerking waarschijnlijk een hoog risico oplevert voor personen. De negen-criteria-toets van de EDPB is de praktische manier om dit te beoordelen. In de meeste gevallen betekent het voldoen aan twee of meer criteria dat een DPIA moet worden uitgevoerd. Ook wanneer slechts één criterium van toepassing is, kan een DPIA vereist zijn als de verwerking waarschijnlijk een hoog risico oplevert. Of uw AI-tool aan de drempel voldoet, hangt af van de concrete verwerking, de aard van de gegevens en de risico's voor betrokkenen.

Q: Vereist Microsoft Copilot een DPIA?

Niet automatisch. Of een DPIA vereist is, hangt af van hoe Microsoft Copilot binnen de organisatie wordt ingezet, welke persoonsgegevens worden verwerkt en of de verwerking waarschijnlijk een hoog risico oplevert. Gebruik voor HR-analyse, personeelsmonitoring, profilering of andere hoog-risico toepassingen kan meerdere DPIA-criteria activeren.

Wat AVG-artikel 35 daadwerkelijk vereist

AVG-artikel 35 vereist een gegevensbeschermingseffectbeoordeling (DPIA) voordat verwerking plaatsvindt die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Het woord "voordat" is belangrijk. Dit is een voorafgaande verplichting, niet iets dat u achteraf kunt voltooien zodra een tool al in gebruik is. Als u een AI-tool heeft geïmplementeerd die aan de drempel voldoet zonder een voltooide DPIA, bent u in overtreding totdat de beoordeling is afgerond.

De richtlijnen 09/2022 van de EDPB vertalen "waarschijnlijk hoog risico" in negen operationele criteria. In de meeste gevallen betekent het voldoen aan twee of meer criteria dat een DPIA moet worden uitgevoerd. Ook wanneer slechts één criterium van toepassing is, kan een DPIA vereist zijn als de verwerking waarschijnlijk een hoog risico oplevert. Voldoen aan minder betekent niet automatisch dat u vrij bent: toezichthouders kunnen er toch een vereisen, en documenteren waarom u heeft geconcludeerd dat een DPIA niet nodig was, is op zichzelf al goede praktijk.

De negen criteria

Dit zijn de criteria van de EDPB. In de meeste gevallen geldt: twee of meer criteria leiden tot de DPIA-verplichting. Ook wanneer slechts één criterium van toepassing is, kan een DPIA noodzakelijk zijn als de verwerking waarschijnlijk een hoog risico oplevert.

Beoordeling of profilering op basis van persoonsgegevens

Geautomatiseerde besluitvorming met aanzienlijke of rechtsgevolgen voor personen

Stelselmatige monitoring van medewerkers, klanten of openbare ruimten

Verwerking van bijzondere categorieën: gezondheid, financieel, biometrisch, religieus, politiek of strafrechtelijk

Grootschalige gegevensverwerking

Koppeling of combinatie van gegevensbestanden uit afzonderlijke bronnen

Verwerking van gegevens van kwetsbare personen, waaronder medewerkers, patiënten of kinderen

Innovatief gebruik van een nieuwe technologische oplossing of aanpak

Verwerking die betrokkenen belet hun rechten uit te oefenen of toegang te krijgen tot een dienst

AI kan onder criterium 8 vallen wanneer de verwerking gebruikmaakt van innovatieve technologie of een nieuwe technologische of organisatorische aanpak. Dat betekent echter niet dat iedere AI-tool automatisch aan criterium 8 voldoet. Beoordeel daarom de concrete verwerking, de aard van de gegevens, het doel en de impact op betrokkenen. In veel AI-toepassingen zal criterium 8 relevant zijn, maar het moet per use case worden onderbouwd.

Wanneer een AI-toepassing personen systematisch evalueert, beoordeelt of profileert, kan criterium 1 van toepassing zijn. In combinatie met andere relevante criteria kan daarmee de DPIA-drempel worden bereikt.

Waar AI-tools staan tegenover deze criteria

De vier scenario's hieronder behandelen de AI-toepassingen waarop toezichthouders het meest letten. Elk scenario geeft aan welke criteria van toepassing zijn en waarom.

Scenario 1

HR- en wervings-AI

AI voor werving en HR kan onder meerdere criteria vallen. CV-screening en kandidaatbeoordeling kunnen criterium 1 activeren; geautomatiseerde beslissingen met juridische of vergelijkbaar significante gevolgen kunnen criterium 2 activeren. Bij systematische monitoring van medewerkers kan daarnaast criterium 3 en, afhankelijk van de context, criterium 7 relevant zijn. Dit is het scenario dat het vaakst zonder DPIA wordt ingezet.

Scenario 2

Klantprofilering en scoring

Platforms in retail, financiële dienstverlening en verzekeringen die AI gebruiken voor het profileren van gedrag, beoordelen van kredietwaardigheid of personaliseren van aanbiedingen, activeren minimaal criteria 1 en 5. Financiële of gezondheidsdata in het profiel voegt criterium 4 toe. De meeste implementaties combineren ook datasets uit meerdere bronnen, wat criterium 6 toevoegt.

Scenario 3

Monitoring van medewerkerscommunicatie

Tools die werkpatronen, vergaderfrequentie, reactietijden of documentactiviteit analyseren om inzichten over individuele medewerkers te genereren, activeren criterium 3 (stelselmatige monitoring), 7 (medewerkers) en 8 (innovatieve technologie). Microsoft Copilot dat is geconfigureerd om medewerkeractiviteit samen te vatten valt hieronder.

Scenario 4

Geautomatiseerde toegangs- en toelatingsbeslissingen

AI-systemen die zonder menselijke tussenkomst bepalen wie toegang krijgt tot een dienst, uitkering of resource, activeren criterium 2. Als de AI ondoorzichtig is over hoe de beslissing tot stand is gekomen, is ook criterium 9 van toepassing. Fraudedetectiesystemen en toegangscontrolmodellen vallen hier vaak onder.

Vereist Microsoft Copilot een DPIA?

Niet automatisch. Of Microsoft 365 Copilot een DPIA vereist, hangt af van hoe uw organisatie het inzet, welke persoonsgegevens worden verwerkt en welke risico's de verwerking voor betrokkenen oplevert.

Bij gebruik voor reguliere productiviteitstaken kan de beoordeling anders uitvallen dan bij gebruik voor HR-analyse, personeelsmonitoring, profilering of geautomatiseerde besluitvorming. In die laatste situaties kunnen meerdere DPIA-criteria van toepassing zijn.

Een DPIA verhindert de implementatie niet. Het vereist dat u de verwerking documenteert, risico's identificeert en mitigerende maatregelen treft. De machtigingencontrole, configuratie van gevoeligheidslabels en acceptabel-gebruiksbeleid die in ons artikel over Copilot-governance worden besproken, tellen allemaal als gedocumenteerde mitigaties en horen thuis in de DPIA.

Voor versus na implementatie

Een DPIA die na de implementatie wordt voltooid, is beter dan geen DPIA, maar heft de overtreding tijdens de tussenliggende periode niet op. Als er een datalek optreedt terwijl een tool in gebruik is zonder verplichte DPIA, beschouwen toezichthouders de afwezigheid van de beoordeling als een verzwarende omstandigheid bij handhavingsbeslissingen.

Wat een DPIA daadwerkelijk moet bevatten

AVG-artikel 35(7) specificeert vier componenten. Elke DPIA moet alle vier behandelen, ongeacht de indeling of lengte.

Een systematische beschrijving van de verwerking: welke gegevens de AI-tool verwerkt, waar deze vandaan komen, hoe lang ze worden bewaard en voor welke doeleinden ze worden gebruikt
Een beoordeling van de noodzaak en proportionaliteit: waarom deze verwerking noodzakelijk is om het genoemde doel te bereiken en of een minder privacybelastende aanpak hetzelfde resultaat zou bereiken
Een beoordeling van de risico's voor rechten en vrijheden: specifieke risico's voor personen, met een beoordeling van waarschijnlijkheid en ernst voor elk risico
Maatregelen om elk geïdentificeerd risico aan te pakken: technische en organisatorische waarborgen, met een duidelijke koppeling tussen elk risico en de bijbehorende maatregel

Waar de organisatie een Functionaris voor Gegevensbescherming (FG) heeft, moet deze worden geraadpleegd en diens advies worden gedocumenteerd. Waar het resterende risico na mitigaties hoog blijft, moet de toezichthouder worden geraadpleegd voordat de verwerking begint.

Wat te documenteren: een praktische checklist

Verwerkingsbeschrijving. Benoem de AI-tool, de leverancier, de gegevensstromen, de rechtsgrondslag voor verwerking, de betrokken gegevenscategorieën en de bewaartermijn. Wees specifiek: "Microsoft Copilot voor Microsoft 365, verwerking van e-mail- en Teams-gegevens op basis van gerechtvaardigd belang, bewaard conform het 30-daagse promptlogbeleid van Microsoft."

Negen-criteria-beoordeling. Werk elk criterium door en documenteer of het van toepassing is, met toelichting. Als minder dan twee criteria van toepassing zijn, leg dan vast waarom en bewaar dit. Als twee of meer van toepassing zijn, ga dan over tot een volledige DPIA.

Noodzakelijkheids- en proportionaliteitstoets. Formuleer wat de tool bereikt en waarom dat doel dit niveau van gegevenstoegang vereist. Documenteer eventuele alternatieven die zijn overwogen en waarom deze niet toereikend waren.

Risicoregister. Vermeld elk specifiek risico met een beoordeling van waarschijnlijkheid (laag, gemiddeld, hoog) en ernst (laag, gemiddeld, hoog). Veelvoorkomende AI-risico's zijn: gegevensblootstelling door te ruime toegangsrechten, discriminerende uitkomsten door bevooroordeelde trainingsdata en ongeautoriseerd hergebruik van persoonsgegevens in modeluitvoer.

Mitigaties gekoppeld aan elk risico. Voor elk risico in het register documenteert u de specifieke maatregel die het aanpakt. Technische maatregelen (gevoeligheidslabels, toegangscontroles, auditlogging) en organisatorische maatregelen (acceptabel-gebruiksbeleid, training, FG-beoordeling) tellen beide mee.

Raadpleging FG. Als uw organisatie een FG heeft, documenteert u diens inbreng en of hij of zij het eens is met de risicobeoordeling en voorgestelde mitigaties. Als er bezwaar was, leg dat ook vast: FG's hebben een onafhankelijke positie onder de AVG en hun bezwaren kunnen niet zomaar worden genegeerd.

Herzieningsdatum. Een DPIA is geen eenmalig document. Stel een herzieningstrigger in: elke significante wijziging in de functionaliteit van de AI-tool, de gegevens die het verwerkt of de voorwaarden van de leverancier moet tot een herziening leiden. Jaarlijkse herziening is een verstandige standaard voor tools die actief in gebruik blijven.

DPIA en de AI-verordening: twee afzonderlijke vereisten

Een DPIA onder de AVG en verplichtingen voor hoog-risico AI onder de AI-verordening zijn verschillende beoordelingskaders. Een DPIA richt zich op de risico's van persoonsgegevensverwerking voor de rechten en vrijheden van personen. De AI-verordening kent daarnaast specifieke verplichtingen voor bepaalde hoog-risico AI-systemen, waaronder eisen rond risicobeheer, documentatie, logging, transparantie, menselijke controle, nauwkeurigheid, robuustheid en cybersecurity.

De actuele toepassingskalender voor de AI-verordening voorziet voor de relevante hoog-risico systemen in Bijlage III in toepassing vanaf 2 december 2027, terwijl hoog-risico AI die in gereguleerde producten is ingebed onder Bijlage I vanaf 2 augustus 2028 valt. Andere AI Act-verplichtingen, waaronder bepaalde transparantieverplichtingen, zijn al vanaf 2 augustus 2026 van toepassing.

Beide parallel uitvoeren is efficiënter dan ze opeenvolgend te voltooien. Veel van de inputs zijn gedeeld: de verwerkingsbeschrijving, de gegevenscategorieën, de leveranciersrelatie en het risicoregister voeden beide documenten.

Een DPIA hoeft geen document van zestig pagina's te zijn. Voor Cyvra is een compacte, goed onderbouwde DPIA die de vereisten van artikel 35(7) daadwerkelijk behandelt waardevoller dan een omvangrijk document dat vooral een sjabloon invult.

Waar te beginnen

Begin met een inventarisatie van AI-tools die momenteel in gebruik zijn binnen de organisatie, inclusief tools die door individuele afdelingen zijn ingevoerd zonder centrale IT-betrokkenheid. Voer voor elke tool de negen-criteria-toets uit. Elke tool die twee of meer scoort, gaat op de DPIA-backlog.

Prioriteer op blootstelling: tools die medewerkersgegevens, grootschalige klantpersoonsgegevens of bijzondere categorieën verwerken, gaan als eerste. Voor tools die al zonder DPIA zijn geïmplementeerd: voltooi de beoordeling nu en documenteer dat dit achteraf is gedaan. Toezichthouders verwachten dat organisaties een leemte inhalen als ze die ontdekken, en een voltooide DPIA op dossier is aanzienlijk beter dan geen.

Cyvra ondersteunt organisaties door het volledige DPIA-proces voor AI-tools: van de initiële verwerkingsinventarisatie en negen-criteria-beoordeling tot het voltooide risicoregister, de mitigatiemapping en FG-afstemming. Neem contact met ons op om te bespreken wat uw huidige AI-portfolio vereist.

Wanneer AI-verwerking een DPIA vereist: wat de drempel is en wat erin moet